CVE-2026-47075
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
hackney przed wersją 4.0.1 nie koduje procentowo znaków CR (\r) i LF (\n) w komponencie zapytania URL, co umożliwia atak typu HTTP Request Splitting. Atakujący kontrolujący URL może wstrzyknąć surowe sekwencje CRLF do łańcucha zapytania, co pozwala na dodanie dowolnych nagłówków HTTP lub podział żądania.
Ocena ryzyka
Ryzyko obejmuje możliwość manipulacji żądaniami HTTP, wstrzykiwania nagłówków, przechwytywania sesji lub ataków typu cache poisoning, co może prowadzić do naruszenia integralności komunikacji.
Rekomendacja
Należy zaktualizować hackney do wersji 4.0.1 lub nowszej, która poprawnie koduje procentowo znaki CR i LF w URL.
Inne podatności w hackney
Zobacz wszystkie- CVE-2026-47077Wysokie
Podatność w bibliotece hackney (wersje od 2.0.0 do 4.0.1) pozwala na atak typu Flooding przez brak ograniczenia rozmiaru bufora odpowiedzi HTTP/3. Złośliwy serwer może wysyłać małe fragmenty danych, resetując licznik czasu, co prowadzi do nieograniczonego wzrostu pamięci i wyczerpania sterty procesu BEAM.
- CVE-2026-47076Średnie
Biblioteka hackney dla Erlanga/OTP w wersjach od 0.13.0 do 4.0.1 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) spowodowaną konfliktem interpretacji. Funkcja normalizująca URL dekoduje host po walidacji, co pozwala na ominięcie list dozwolonych i dostęp do wewnętrznych adresów IP (np. 127.0.0.1, 169.254.169.254).
- CVE-2026-47073Wysokie
Podatność w bibliotece hackney (wersje od 2.0.0 do 4.0.1) pozwala na wyczerpanie pamięci przez atakującego serwer WebSocket. Klient WebSocket nie ogranicza rozmiaru buforów w trzech ścieżkach kodu, co umożliwia atak Flooding.
- CVE-2026-47072Wysokie
Podatność CRLF Injection w bibliotece hackney umożliwia atakującemu wstrzyknięcie dowolnych nagłówków HTTP do żądania WebSocket. Brak filtrowania znaków CRLF i NUL w czterech miejscach wstrzyknięcia pozwala na manipulację żądaniem, co może prowadzić do fałszowania poświadczeń, zatrucia pamięci podręcznej lub przemytu żądań przez proxy.
- CVE-2026-47071Wysokie
Biblioteka hackney w wersjach od 0.10.0 do 4.0.1 (przed 4.0.1) zawiera podatność na niekontrolowane zużycie zasobów w transporcie SOCKS5. Po zakończeniu negocjacji SOCKS5 połączenie jest uaktualniane do TLS z nieskończonym timeoutem, co pozwala wrogiego proxy na zablokowanie procesu na czas nieokreślony.
- CVE-2026-47070Średnie
Biblioteka hackney w wersjach od 3.1.1 przed 4.0.1 zawiera podatność na wyciek danych wrażliwych. Moduł HTTP/3 (hackney_h3.erl) nie sprawdza pochodzenia przy przekierowaniach, przez co nagłówki autoryzacyjne i ciasteczka są wysyłane do obcych hostów.
- CVE-2026-47069Średnie
W bibliotece hackney (wersje od 0.9.0 przed 4.0.1) stwierdzono podatność na CRLF Injection w funkcji hackney_cookie:setcookie/3. Atakujący kontrolujący opcję domain lub path może wstrzyknąć sekwencję CRLF i dowolne nagłówki Set-Cookie, co prowadzi do HTTP Response Splitting.
- CVE-2026-47067Wysokie
Biblioteka hackney w wersjach od 2.0.0 do 4.0.1 (przed 4.0.1) zawiera podatność na wyczerpanie tablicy atomów BEAM. Parser URL konwertuje nierozpoznane schematy URL na atomy za pomocą binary_to_atom/2, które nigdy nie są usuwane. Atakujący może dostarczyć wiele URL-i z unikalnymi schematami, powodując przekroczenie limitu tablicy atomów i awarię całej maszyny wirtualnej BEAM.
- CVE-2026-47066Wysokie
Biblioteka hackney w wersjach od 2.0.0-beta.1 do 4.0.1 (przed 4.0.1) zawiera podatność na nieskończoną pętlę w parserze nagłówka Alt-Svc. Funkcja parse_token/2 nie zapewnia postępu dla niektórych bajtów, co prowadzi do rekurencyjnej pętli zajmującej 100% CPU. Nagłówek Alt-Svc: ! jest wystarczający do wywołania podatności.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of CRLF Sequences vulnerability in benoitc hackney allows HTTP Request Splitting. hackney does not percent-encode carriage return (\r) or line feed (\n) characters in the URL query component before constructing the HTTP/1.1 request target. Characters outside the grammar defined in RFC 3986 Section 3.4 must be percent-encoded, but hackney_url:make_url/3 passes the query binary directly without validation or escaping. An attacker who can control all or part of a URL passed to hackney can inject raw CRLF sequences into the query string, which are then sent as HTTP line breaks in the request target. This enables injection of arbitrary HTTP headers or splitting of the HTTP request. This issue affects hackney: from 0.13.1 before 4.0.1.